まる分かりIT基礎解説「ファイアウォール」

読めば分かる！　次世代ファイアウォール

2010年は、次世代ファイアウォール元年といえるほど各社から新製品がリリースされた。今後求められるファイアウォール機能を整理しながら、現時点における各社ファイアウォールの特徴を紹介する。

公開 2010年12月02日 08時00分

更新 2012年09月04日 16時28分

著者

澁谷寿夫

[ソニックウォール]

印刷する

次世代ファイアウォールに求められる機能

　「何が違う？　ファイアウォールと次世代ファイアウォール」では、従来のファイアウォールが持つ機能を復習しながら、近年各社からリリースが相次ぐ「次世代ファイアウォール」と呼ばれる製品の特徴をまとめた。

　そこでも説明した通り、現在のインターネットの利用スタイルは、既存のファイアウォールで制御することは難しい。ここでは、あらためて次世代ファイアウォールに求められる機能について考えてみたい。

　なお本稿の後半では、ベンダー各社から提供されている次世代ファイアウォールの特徴を順番に紹介する。

何が違う？　ファイアウォールと次世代ファイアウォール

読めば分かる！　UTMのメリットと注意点

Webアプリケーションの制御

　すべてのベンダーに共通していえるのが、アプリケーションの制御を行うのが目的ということである。これらは何が違う？　ファイアウォールと次世代ファイアウォールで説明した通り、Webアプリケーションを個別に制御できる必要がある。製品の中には、単純にWebアプリケーションの許可／拒否だけではなく、帯域制御ができる機能を持っているものもある。

　また、単純にアプリケーション（例えばSkype）をまとめて扱うのではなく、Skypeの中の通信を細かく分け、メッセージの送受信は許可するがファイルの送受信は許可しないといった具合に、アプリケーションを細かく分けて制御できるものもある。

アプリケーションの可視化

　アプリケーションを制御するためには、まずそのネットワークにどういったアプリケーションのトラフィックが流れているのかを把握する必要がある。アプリケーションが分からなければ、アクセスルールを作ることはできないからだ。

　可視化機能としては、ユーザーの閲覧状況をリアルタイムに表示する方法や、ある一定期間の情報を基にフィルタリングを掛ける方法がある。また可視化をするためには、アプリケーションを識別することが前提になるが、それだけではなく、その通信を誰が行っているかも把握する必要がある。例えば、Active Directoryと連携することで、どのユーザーがどういったアプリケーションを利用しているかも同時に識別可能となる。

　さらに、アプリケーションの中を流れるコンテンツも識別できるとより有効だ。例えば、Flashを利用した動画を帯域制御したい場合、動画を登録できるWebサイト（アプリケーション）を個別に制御するよりは、Flashでの動画配信というくくりで制御した方が管理者にとってはメリットが多く管理も容易であることは明らかだと思う。

　すなわち、アプリケーションの識別では、「アプリケーション」「コンテンツ」「ユーザー／グループ」の3点を識別できる方がより利用しやすいといえる。

　これらの情報を識別することにより、誰が、どういったアプリケーションで、どのようなデータを流しているかを管理者は理解、把握できる。

どの機能に注目すべきか

　では、実際に機器を選定する場合にはどういった機能に注目するべきだろうか。まず制御したいアプリケーションに対応している、または要望を出した場合に対応してもらえるかどうかが重要になってくる。特にほぼすべてのベンダーは海外で開発を行っているため、海外のアプリケーションの多くには対応しているが、日本特有のアプリケーション（例えば、mixiやニコニコ動画など）に対応しているかは、製品選定時に非常に重要なポイントとなる。

　また、先に説明したようにアプリケーションをより細かく制御したい場合には、アプリケーション内の機能ごとに通信を識別、制御できるかという点もポイントとなる。

　次に、ユーザー／グループでの制御ができるかというのも、運用時に必要となる場合が多い。例えば、YouTubeなどはマーケティングツールとしても利用されるため、マーケティングにかかわるユーザーは利用できる必要があるが、それ以外のユーザーには禁止したり帯域制御を行いたいという要望があると思う。そうした場合には、ユーザーおよびグループでのアクセスルールを設定できる必要がある。

　最後に可視化について考える場合には、アプリケーションでのトラフィックだけではなく、ユーザーごとのアプリケーション利用量を把握するために「アプリケーションごと」「ユーザーごと」「コンテンツごと」といったようにフィルタを設定できる機能があった方が便利である。

　加えて、対応しているプロトコル数やゲートウェイアンチウイルスなど、UTM（統合脅威管理）機能を持っているかという点も考慮するとよいだろう。やはり、アプリケーションの上を流れる脅威を防御するというのは非常に重要なポイントである。そして、アプリケーションの識別を行うために遅延が発生してしまっては、VoIPやストリーミングの利用にストレスを感じるので、そういった目に見えにくい点も注意すると失敗しにくい。

　まずは、どの機能が必要なのかを考慮して、必要な機能を提供できるものはどれかを検討する必要がある。

代表的な次世代ファイアウォール製品

　以下、各社から提供されている次世代ファイアウォールを順に紹介しよう。

ウォッチガード・テクノロジー・ジャパン
製品名	WatchGuard XTM シリーズ
画像

「XTM 1050」提供：ウォッチガード・テクノロジー・ジャパン

説明	脅威の防御にクラウド型のレピュテーションサービスを導入した製品。レイヤー7ファイアウォール機能の追加により、アプリケーションの制御が可能
製品紹介ページ	http://www.watchguard.co.jp/products/xtm-main.html

ソニックウォール
製品名	NSA シリーズ／NSA E-Class シリーズ
画像

「SonicWALL NSA E7500」提供：ソニックウォール

説明	独自のRFDPI技術により、すべてのパケットをDPI（ディープパケットインスペクション：認識）できる製品。次世代ファイアウォールとして、脅威の防御に加えてアプリケーションの可視化と防御が可能
製品紹介ページ	http://www.sonicwall.com/japan/products/products_nsa.html

パロアルトネットワークス
製品名	PAシリーズ
画像

「PA-4060」提供：パロアルトネットワークス

説明	Active Directoryと連携し、ユーザーIDにひも付いたWebアプリケーションの利用状況を可視化・分類できる製品。潜在的な脅威を発見、防御することも可能
製品紹介ページ	http://www.paloaltonetworks.jp/solutions/

フォーティネットジャパン
製品名	FortiGateシリーズ
画像

「FortiGate-3040B」提供：フォーティネットジャパン

説明	独自ASICによる高速処理が特徴のセキュリティアプライアンス製品。UTM機能に加えて、アプリケーション制御機能を搭載している
製品紹介ページ	http://www.fortinet.co.jp/products/fortigate/

マカフィー
製品名	Firewall Enterprise version 8
画像

「Firewall Enterprise version 8」提供：マカフィー

説明	クラウド技術を活用した次世代ファイアウォール製品。アプリケーションの可視化と制御が可能
製品紹介ページ	http://www.mcafee.com/japan/products/firewall_enterprise.asp

まとめ

　2010年は、次世代ファイアウォール元年といえるほど、各社からアプリケーションの可視化と制御に注力した製品がリリースされた。当面は、さまざまなアプリケーションへの対応や使いやすさなどに注力していくと思われるが、今後は10Gbps対応など高速なネットワークに対応した製品も増えていくことが予想される。

　各社の次世代ファイアウォールが出そろい、2011年はアプリケーションレイヤーでのファイアウォールが一般的になるのではないだろうか。